漏洞概要
缺陷编号：
WooYun-2013-34201
漏洞标题： 大量政府站未修改某防火墙默认密码可登陆控制（已控制数十台设备）
相关厂商：
cncert
漏洞作者：
D＆G
提交时间： 2013-08-12 22:47
公开时间： 2013-09-26 22:47
漏洞类型： 服务弱口令
危害等级： 高
自评Rank： 20
漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理
漏洞来源：
http://www.wooyun.org
Tags标签：
弱口令 安全意识不足
漏洞详情披露状态：
2013-08-12： 细节已通知厂商并且等待厂商处理中
2013-08-16： 厂商已经确认，细节仅向厂商公开
2013-08-26： 细节向核心白帽子及相关领域专家公开
2013-09-05： 细节向普通白帽子公开
2013-09-15： 细节向实习白帽子公开
2013-09-26： 细节向公众公开
简要描述：
天融信的客户都是各种gov啊。其实，这是一个谷歌控暴力狂和天才超人的故事。
详细说明：
intitle:topsec tos web user interface
大概400多个搜索结果。绝大部分都是天融信的防火墙。
本来想暴力破解来着，试了下，web和telnet都防护。尝试几次就锁定了。可是
改一下默认密码有那么难么！本来安全只有4分的话，装了个防火墙瞬间到零了。。。
天融信默认密码其中一个：superman talent。只使用这个密码成功登录的列表 如下：共58台。
code 区域yhztb.cn
skdfz.com
ywczjgw.com
www.landks.com
sunong.cn
ta-police.com
czrcw.com
scanju.gov.cn
lyghb.gov.cn
dyyz.net
glgt.gov.cn
boxing.gov.cn
zjykrc.com
zjtzgtj.gov.cn
jys.gov.cn
hnhx.gov.cn
tjqnzyxy.cn
xtxfc.cn
chengde.gov.cn
sp.gov.cn
lcpf.cn
fzda.gov.cn
gaoglish.cn
nbzw.gov.cn
mulan.gov.cn
nbxmsyj.com
www.zjhnztb.com
hnwwj.com
tzgt.gov.cn
czwujia.gov.cn
jiedaiwang.cn
tez.gov.cn
zghzbwg.com
cagjj.cn
hhhtds.gov.cn
digitalwuhan.gov.cn
80801890.com
cqhcjy.com
www.haas.org.cn
zjqhdm.gov.cn
tcytcz.gov.cn
xjqh.gov.cn
gsryd.cn
xianan.gov.cn
jxtjjs.cn
hxcjdb.com
gxlzfda.gov.cn
jhfc.gov.cn
ywfy.cn
jxhxjd.cn
gxlzfda.gov.cn
jhfc.gov.cn
ywfy.cn
jxhxjd.cn
gxlzfda.gov.cn
jhfc.gov.cn
ywfy.cn
jxhxjd.cn
漏洞证明：
修复方案：
天融信有那么优秀的团队。为什么实施的时候就这么对客户呢。
版权声明：转载请注明来源
D＆G@
乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2013-08-16 23:25
厂商回复：
CNVD确认并复现所述情况，已经转由CNCERT协调天融信公司，由其通知相关用户进行处置。根据评估，由于较老的版本在安全提示（强制修改密码）上还存在缺陷，天融信已经在后续的新版本中改进。此次已经全力通知用户修改默认配置。
rank 20
最新状态：
暂无
原文：http://www.wooyun.org/bugs/wooyun-2010-034201
[
本帖最后由 linda 于 2016-2-15 11:25 编辑 ]
